Versions de la stack

Cette page liste les dépendances déclarées par chaque projet du monorepo et explique comment leurs versions sont choisies, figées et mises à jour. Les tableaux en bas de page sont générés à chaque construction de la documentation depuis les fichiers package.json : ils sont toujours à jour avec le code.

#Politique de versions

#Moteur Node.js

Tous les projets qui ont un package.json avec des dépendances déclarent le même moteur :

{
  "engines": {
    "node": ">=22.12.0"
  }
}

La version majeure de référence est fixée à la racine par .nvmrc, qui contient 22. Tous les jobs Node.js de la CI lisent ce fichier (node-version-file: .nvmrc dans .github/workflows/ci.yml). Les images Docker partent de node:22-bookworm-slim, déclarée par ARG NODE_IMAGE dans les Dockerfile du backend, du frontend web et de la chaîne locale.

Aucun fichier .npmrc n'active engine-strict : avec une version de Node.js plus ancienne, npm affiche un avertissement mais installe quand même.

#Plages déclarées et épinglage

Les projets n'appliquent pas tous la même règle dans package.json :

Quelle que soit la plage déclarée, la version réellement installée est figée par le fichier package-lock.json versionné dans chaque projet. La CI et les Dockerfile installent avec npm ci, qui refuse de modifier le lockfile et échoue s'il ne correspond plus au package.json. Une plage ^ ne change donc rien en CI ou en production tant que le lockfile n'est pas régénéré : elle indique seulement jusqu'où npm install ou Dependabot peuvent monter.

#Autres versions figées

#Mises à jour automatiques avec Dependabot

.github/dependabot.yml ouvre des pull requests de mise à jour. Chacune passe par la CI comme n'importe quel changement.

Toutes les entrées npm ont un délai de carence (cooldown) de 5 jours : Dependabot ne propose pas une version publiée depuis moins de 5 jours, ce qui laisse le temps à une version compromise ou défectueuse d'être retirée.

#Pourquoi les majeures d'Expo sont exclues

Une version d'Expo SDK impose les versions de React Native, de React et de chaque module expo-*. Monter l'un sans les autres casse la compilation native. Un changement de SDK se fait à la main, en suivant le guide de migration d'Expo, puis en vérifiant la configuration avec npx expo config --type public (lancé par la CI). Voir Builds et publication.

#Contrôles de sécurité des dépendances

La CI lance npm audit --omit=dev sur les dépendances de production :

Les images de production (backend, web, tourisme) sont en plus analysées par Trivy, bloquant sur les vulnérabilités CRITICAL et HIGH corrigeables. La procédure complète est dans Dépendances et Chaîne logicielle.

#Versions clés

Les briques présentées dans Choix techniques correspondent aux déclarations suivantes :

#Dépendances déclarées par projet

Colonne « Version demandée » : la plage écrite dans package.json. La version installée exacte est dans le package-lock.json du projet.

#Smart contracts

Fichier : smart-contract/package.json, Node.js >=22.12.0.

#Backend

Fichier : backend/package.json, Node.js >=22.12.0.

#Frontend web

Fichier : frontend-web/package.json, Node.js >=22.12.0.

#Application mobile

Fichier : mobile-app/package.json, Node.js >=22.12.0.

#Documentation officielle

Fichier : documentation-officielle/package.json, Node.js >=22.12.0.